Claude Code-kwetsbaarheid: hoe een CLAUDE.md-bestand stilletjes uw gegevens kan stelen
Tego AI ontdekte op 24 juli 2026 een kwetsbaarheid in Claude Code: een CLAUDE.md bestand met een @import directive die naar een symlink verwijst, kan bestanden buiten het project uitlezen en naar het AI model sturen z... De aanval misbruikt een zogenaamde 'provenance mismatch': Claude Code controleert alleen het pad...
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
Tego AI ontdekte op 24 juli 2026 een kwetsbaarheid in Claude Code: een CLAUDE.md bestand met een @import directive die naar een symlink verwijst, kan bestanden buiten het project uitlezen en naar het AI model sturen z...
De aanval misbruikt een zogenaamde 'provenance mismatch': Claude Code controleert alleen het pad in de repository, maar volgt de symlink naar bestanden erbuiten, zoals SSH sleutels of wachtwoordbestanden.
Anthropic sloot de melding als 'informatief' en stelt dat het 'vertrouw deze map' dialoog de beschermingsgrens is, maar Tego AI waarschuwt dat data automatisch en onzichtbaar wordt geëxfiltreerd.
Hetzelfde symlink probleem is al twee keer eerder gerepareerd in andere onderdelen van Claude Code, maar de fix is nooit toegepast op de geheugenlader (memory loader).
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Op 24 juli 2026 onthulde Tego AI een beveiligingslek in Anthropics Claude Code waarmee een kwaadaardige repository stilletjes bestanden kan uitlezen van de computer van een ontwikkelaar. De aanval maakt gebruik van een provenance mismatch in de manier waarop Claude Code symlinks verwerkt in het CLAUDE.md-projectinstructiebestand. Wanneer een ontwikkelaar een repository cloneert en Claude Code start, kan een symlink in de repo de tool dwingen bestanden van buiten het project te lezen en de inhoud ervan mee te sturen in het allereerste modelverzoek — zonder waarschuwing, goedkeuringsdialoog of zichtbare tool-aanroep .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Claude Code-kwetsbaarheid: hoe een CLAUDE.md-bestand stilletjes uw gegevens kan stelen"?
Tego AI ontdekte op 24 juli 2026 een kwetsbaarheid in Claude Code: een CLAUDE.md bestand met een @import directive die naar een symlink verwijst, kan bestanden buiten het project uitlezen en naar het AI model sturen z...
What are the key points to validate first?
Tego AI ontdekte op 24 juli 2026 een kwetsbaarheid in Claude Code: een CLAUDE.md bestand met een @import directive die naar een symlink verwijst, kan bestanden buiten het project uitlezen en naar het AI model sturen z... De aanval misbruikt een zogenaamde 'provenance mismatch': Claude Code controleert alleen het pad in de repository, maar volgt de symlink naar bestanden erbuiten, zoals SSH sleutels of wachtwoordbestanden.
What should I do next in practice?
Anthropic sloot de melding als 'informatief' en stelt dat het 'vertrouw deze map' dialoog de beschermingsgrens is, maar Tego AI waarschuwt dat data automatisch en onzichtbaar wordt geëxfiltreerd.
Claude Code-kwetsbaarheid: hoe een CLAUDE.md-bestand stilletjes uw gegevens kan stelen
Tego AI ontdekte op 24 juli 2026 een kwetsbaarheid in Claude Code: een CLAUDE.md bestand met een @import directive die naar een symlink verwijst, kan bestanden buiten het project uitlezen en naar het AI model sturen z... De aanval misbruikt een zogenaamde 'provenance mismatch': Claude Code controleert alleen het pad...
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
Tego AI ontdekte op 24 juli 2026 een kwetsbaarheid in Claude Code: een CLAUDE.md bestand met een @import directive die naar een symlink verwijst, kan bestanden buiten het project uitlezen en naar het AI model sturen z...
De aanval misbruikt een zogenaamde 'provenance mismatch': Claude Code controleert alleen het pad in de repository, maar volgt de symlink naar bestanden erbuiten, zoals SSH sleutels of wachtwoordbestanden.
Anthropic sloot de melding als 'informatief' en stelt dat het 'vertrouw deze map' dialoog de beschermingsgrens is, maar Tego AI waarschuwt dat data automatisch en onzichtbaar wordt geëxfiltreerd.
Hetzelfde symlink probleem is al twee keer eerder gerepareerd in andere onderdelen van Claude Code, maar de fix is nooit toegepast op de geheugenlader (memory loader).
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Op 24 juli 2026 onthulde Tego AI een beveiligingslek in Anthropics Claude Code waarmee een kwaadaardige repository stilletjes bestanden kan uitlezen van de computer van een ontwikkelaar. De aanval maakt gebruik van een provenance mismatch in de manier waarop Claude Code symlinks verwerkt in het CLAUDE.md-projectinstructiebestand. Wanneer een ontwikkelaar een repository cloneert en Claude Code start, kan een symlink in de repo de tool dwingen bestanden van buiten het project te lezen en de inhoud ervan mee te sturen in het allereerste modelverzoek — zonder waarschuwing, goedkeuringsdialoog of zichtbare tool-aanroep .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Claude Code-kwetsbaarheid: hoe een CLAUDE.md-bestand stilletjes uw gegevens kan stelen"?
Tego AI ontdekte op 24 juli 2026 een kwetsbaarheid in Claude Code: een CLAUDE.md bestand met een @import directive die naar een symlink verwijst, kan bestanden buiten het project uitlezen en naar het AI model sturen z...
What are the key points to validate first?
Tego AI ontdekte op 24 juli 2026 een kwetsbaarheid in Claude Code: een CLAUDE.md bestand met een @import directive die naar een symlink verwijst, kan bestanden buiten het project uitlezen en naar het AI model sturen z... De aanval misbruikt een zogenaamde 'provenance mismatch': Claude Code controleert alleen het pad in de repository, maar volgt de symlink naar bestanden erbuiten, zoals SSH sleutels of wachtwoordbestanden.
What should I do next in practice?
Anthropic sloot de melding als 'informatief' en stelt dat het 'vertrouw deze map' dialoog de beschermingsgrens is, maar Tego AI waarschuwt dat data automatisch en onzichtbaar wordt geëxfiltreerd.
De kwetsbaarheid draait om een simpele maar kritische fout in de geheugenlader van Claude Code:
Een kwaadaardige repository bevat een normaal uitziend CLAUDE.md-bestand met een @import-directive die verwijst naar een bestand in de repo — bijvoorbeeld @./link.
Dat bestand is een symlink (modus 120000 in Git) die verwijst naar een doel buiten de repository, zoals /etc/passwd of ../../../../home/user/.ssh/id_rsa. Git bewaart symlinks tijdens clonen .
Wanneer een ontwikkelaar de repo cloneert en Claude Code start, leest de geheugenlader CLAUDE.md en komt de @./link-import tegen. Het controleert of het lexicale pad (./link) binnen het project valt — dat is zo — dus wordt de import als 'intern' geclassificeerd en wordt er geen goedkeuringsdialoog getoond .
De lader volgt vervolgens de symlink naar het daadwerkelijke doelbestand buiten het project, leest de inhoud en plaatst deze in de initiële context van het model .
De inhoud verlaat de machine in het eerste uitgaande verzoek naar de Anthropic-API — voordat het model actie heeft ondernomen en zonder zichtbare tool-aanroep. De gebruiker krijgt geen waarschuwing .
Optioneel kan een apart bekende ANTHROPIC_BASE_URL-instelling in de repo het uitgaande eindpunt omleiden naar een server die de aanvaller beheert, waarmee de exfiltratie compleet is .
De nieuwe ontdekking is niet dat Claude Code symlinks volgt — dat is gedocumenteerd en opzettelijk. Het nieuwe is de omzeiling van toestemming: de externe import-controle controleert het onopgeloste pad, de leesactie gebruikt het opgeloste pad, en de geheugenlader heeft nooit de symlink-resolutie fix gekregen die in twee eerdere CVEs wel op het machtigingssysteem van Claude Code is toegepast .
Reactie van Anthropic
Tego AI meldde het probleem in juli 2026 via HackerOne. Anthropic sloot het rapport als 'Informatief' — wat betekent dat het het niet als een beveiligingslek beschouwt onder het huidige dreigingsmodel .
Anthropics redenering: onder het dreigingsmodel van Claude Code is het 'vertrouw deze map'-dialoog de beveiligingsgrens. Het accepteren van dat dialoog verleent het project al brede lees-, bewerk- en uitvoerrechten. Tego AI betwist niet dat Anthropic dit model consequent toepast, maar stelt dat de bevinding desalniettemin belangrijk is omdat de data automatisch, stilletjes en buiten het medeweten van de gebruiker de machine verlaat .
Opmerkelijk genoeg is hetzelfde patroon van symlink versus beveiligingscontrole al twee keer eerder gerepareerd in het machtigingssysteem van Claude Code:
CVE-2025-59829 (gerepareerd september 2025): omzeiling van weigeringsregels via symlinks in bestandsmachtigingen
CVE-2026-25724 (gerepareerd januari 2026): hetzelfde patroon opnieuw, omzeiling van weigeringsregels via symlinks
Beide eerdere reparaties losten de symlink op voordat ze machtigingen controleerden — maar die reparatie is nooit toegepast op het codepad van de geheugenlader .
Groter patroon: Claude-ecosysteem en beveiliging van AI-codeertools
De onthulling van Tego AI is het tweede Claude-ecosysteem lek in een week. Op 14 juli 2026 onthulde Tego dat de Slack-integratie van Claude Tag geactiveerd kon worden door gewone @Claude-tekst in elk bericht, wat mogelijk ongeautoriseerde acties in een bedrijfsomgeving mogelijk maakte .
Naast het werk van Tego AI heeft Claude Code in ongeveer een jaar tijd minstens 28 CVEs verzameld, waaronder:
Twee kritieke sandbox-ontsnappingen met CVSS 10.0: CVE-2026-39861 (sandbox-ontsnapping via symlink) en CVE-2026-25725 (sandbox-omzeiling via settings.json)
CVE-2026-46406 (juni 2026): het /copy-commando schreef antwoorden naar een vast, voor iedereen leesbaar tijdelijk pad /tmp/claude/response.md, waardoor elke lokale gebruiker geheimen kon inzien
Check Point Research (februari 2026): kritieke lekken (CVE-2025-59536, CVE-2026-21852) die remote code execution en diefstal van API-sleutels mogelijk maakten via kwaadaardige configuratiebestanden op repository-niveau
Onderzoek in de hele sector laat zien dat dit niet uniek is voor Anthropic:
GhostApproval (Wiz, juli 2026): Symlink-lekken in zes AI-codeerassistenten (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) lieten een valstrik-repo de tool naar een gevoelig bestand laten schrijven terwijl de gebruiker goedkeurde om naar een onschadelijk bestand te schrijven
SymJack (Adversa AI, mei 2026): Een enkele symlink-kaping die RCE bereikte in zes producten (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). De gebruiker keurt een bestandskopie goed; de kernel schrijft ergens anders
TrustFall (Adversa AI, mei 2026): Door de repository gedefinieerde MCP-servers worden automatisch uitgevoerd zodra de gebruiker de mapvertrouwensprompt accepteert
De onderliggende architectuurspanning is consistent in de hele sector: AI-codeeragenten hebben brede bestandssysteem-, shell- en netwerktoegang nodig om nuttig te zijn — maar die verhoogde toegang is dezelfde bevoegdheid die een aanvaller nodig heeft. Elke sandbox-ontsnapping, padomzeiling en vertrouwensdialoog-omzeiling komt voort uit dezelfde uitdaging . Het aanvalsoppervlak krimpt niet; nieuwe functies voegen nieuwe vectoren sneller toe dan bestaande worden gerepareerd.
De kwetsbaarheid draait om een simpele maar kritische fout in de geheugenlader van Claude Code:
Een kwaadaardige repository bevat een normaal uitziend CLAUDE.md-bestand met een @import-directive die verwijst naar een bestand in de repo — bijvoorbeeld @./link.
Dat bestand is een symlink (modus 120000 in Git) die verwijst naar een doel buiten de repository, zoals /etc/passwd of ../../../../home/user/.ssh/id_rsa. Git bewaart symlinks tijdens clonen .
Wanneer een ontwikkelaar de repo cloneert en Claude Code start, leest de geheugenlader CLAUDE.md en komt de @./link-import tegen. Het controleert of het lexicale pad (./link) binnen het project valt — dat is zo — dus wordt de import als 'intern' geclassificeerd en wordt er geen goedkeuringsdialoog getoond .
De lader volgt vervolgens de symlink naar het daadwerkelijke doelbestand buiten het project, leest de inhoud en plaatst deze in de initiële context van het model .
De inhoud verlaat de machine in het eerste uitgaande verzoek naar de Anthropic-API — voordat het model actie heeft ondernomen en zonder zichtbare tool-aanroep. De gebruiker krijgt geen waarschuwing .
Optioneel kan een apart bekende ANTHROPIC_BASE_URL-instelling in de repo het uitgaande eindpunt omleiden naar een server die de aanvaller beheert, waarmee de exfiltratie compleet is .
De nieuwe ontdekking is niet dat Claude Code symlinks volgt — dat is gedocumenteerd en opzettelijk. Het nieuwe is de omzeiling van toestemming: de externe import-controle controleert het onopgeloste pad, de leesactie gebruikt het opgeloste pad, en de geheugenlader heeft nooit de symlink-resolutie fix gekregen die in twee eerdere CVEs wel op het machtigingssysteem van Claude Code is toegepast .
Reactie van Anthropic
Tego AI meldde het probleem in juli 2026 via HackerOne. Anthropic sloot het rapport als 'Informatief' — wat betekent dat het het niet als een beveiligingslek beschouwt onder het huidige dreigingsmodel .
Anthropics redenering: onder het dreigingsmodel van Claude Code is het 'vertrouw deze map'-dialoog de beveiligingsgrens. Het accepteren van dat dialoog verleent het project al brede lees-, bewerk- en uitvoerrechten. Tego AI betwist niet dat Anthropic dit model consequent toepast, maar stelt dat de bevinding desalniettemin belangrijk is omdat de data automatisch, stilletjes en buiten het medeweten van de gebruiker de machine verlaat .
Opmerkelijk genoeg is hetzelfde patroon van symlink versus beveiligingscontrole al twee keer eerder gerepareerd in het machtigingssysteem van Claude Code:
CVE-2025-59829 (gerepareerd september 2025): omzeiling van weigeringsregels via symlinks in bestandsmachtigingen
CVE-2026-25724 (gerepareerd januari 2026): hetzelfde patroon opnieuw, omzeiling van weigeringsregels via symlinks
Beide eerdere reparaties losten de symlink op voordat ze machtigingen controleerden — maar die reparatie is nooit toegepast op het codepad van de geheugenlader .
Groter patroon: Claude-ecosysteem en beveiliging van AI-codeertools
De onthulling van Tego AI is het tweede Claude-ecosysteem lek in een week. Op 14 juli 2026 onthulde Tego dat de Slack-integratie van Claude Tag geactiveerd kon worden door gewone @Claude-tekst in elk bericht, wat mogelijk ongeautoriseerde acties in een bedrijfsomgeving mogelijk maakte .
Naast het werk van Tego AI heeft Claude Code in ongeveer een jaar tijd minstens 28 CVEs verzameld, waaronder:
Twee kritieke sandbox-ontsnappingen met CVSS 10.0: CVE-2026-39861 (sandbox-ontsnapping via symlink) en CVE-2026-25725 (sandbox-omzeiling via settings.json)
CVE-2026-46406 (juni 2026): het /copy-commando schreef antwoorden naar een vast, voor iedereen leesbaar tijdelijk pad /tmp/claude/response.md, waardoor elke lokale gebruiker geheimen kon inzien
Check Point Research (februari 2026): kritieke lekken (CVE-2025-59536, CVE-2026-21852) die remote code execution en diefstal van API-sleutels mogelijk maakten via kwaadaardige configuratiebestanden op repository-niveau
Onderzoek in de hele sector laat zien dat dit niet uniek is voor Anthropic:
GhostApproval (Wiz, juli 2026): Symlink-lekken in zes AI-codeerassistenten (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) lieten een valstrik-repo de tool naar een gevoelig bestand laten schrijven terwijl de gebruiker goedkeurde om naar een onschadelijk bestand te schrijven
SymJack (Adversa AI, mei 2026): Een enkele symlink-kaping die RCE bereikte in zes producten (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). De gebruiker keurt een bestandskopie goed; de kernel schrijft ergens anders
TrustFall (Adversa AI, mei 2026): Door de repository gedefinieerde MCP-servers worden automatisch uitgevoerd zodra de gebruiker de mapvertrouwensprompt accepteert
De onderliggende architectuurspanning is consistent in de hele sector: AI-codeeragenten hebben brede bestandssysteem-, shell- en netwerktoegang nodig om nuttig te zijn — maar die verhoogde toegang is dezelfde bevoegdheid die een aanvaller nodig heeft. Elke sandbox-ontsnapping, padomzeiling en vertrouwensdialoog-omzeiling komt voort uit dezelfde uitdaging . Het aanvalsoppervlak krimpt niet; nieuwe functies voegen nieuwe vectoren sneller toe dan bestaande worden gerepareerd.
